Standpunkte

Ein paar Worte zum Patch für die aktuelle 0-Day-Schwachstelle im Internet Explorer 8 führt zum Schluss, dass Cyberkrieger Cyberkriminelle unterstützen.

Ein Patch für die 0-Day-Schwachstelle im IE8?

Es gibt schon wieder eine 0-Day-Schwachstelle. Diesmal mal wieder im Internet Explorer, allerdings nur in Version 8. Und wie die 0-Day-Schwachstelle im Dezember 2012 wird auch diese Schwachstelle für Wasserloch-Angriffe ausgenutzt. Werfen wir mal einen Blick auf die wenigen bisher bekannten Fakten.

3. Mai - Microsoft veröffentlicht ein Security Advisory

Heute gibt es Kommentare zu einem Root-Zertifikat des US-Verteidigungsministeriums, einem neuen Java-Exploit, die 0-Day-Exploits aus dem 1. Quartal, Passwort-Recycling in Großbritannien und einem unerwarteten Support-Ende für Windows XP.

Vertrauen Sie dem US-Verteidigungsministerium?

Oracle hat mit Java 7 Update 21 erneut eine Vielzahl von Schwachstellen behoben: 42 Stück, von denen nur zwei Server-Installationen von Java betreffen. Dafür können 39 der Schwachstellen ohne Authentifizierung aus dem Internet ausgenutzt werden. Und 19 der Schwachstellen haben den höchstmöglichen CVSS Base Score zur Bewertung von Schwachstellen von 10.0 - schlimmer geht nicht. Wenigstens sind diesmal keine 0-Day-Schwachstellen dabei, die bereits für Angriffe ausgenutzt wurden.

Gefährdet: Browser Plug In und Java Web Start

Zur Zeit greift ein Botnet Wordpress- und Joomla-Installationen an und versucht, über einen Brute-Force-Angriff das Administrator-Passwort zu ermitteln. Was danach passiert, ist nicht ganz klar: Entweder wird auf den erfolgreich angegriffenen Servern ein Exploit-Kit installiert, oder die Server sollen zu einem machtvollen Botnet zusammengefasst werden.

Die Angriffe

Die Themen heute: PostgreSQL ergreift vor der Veröffentlichung eines Sicherheitsupdates eine zweifelhafte Schutzmaßnahme, Ad-Blocker können vor Drive-by-Infektionen schützen, und AT&T verwendet unsichere Passwortregeln. Außerdem noch zwei kurze Lesetipps:

Der Schädling "Flashback" sorgte vor gut einem Jahr dafür, dass die Gefahren von Schadsoftware auch auf dem Mac bekannt wurden: Er baute ein für Mac-Verhältnisse riesiges Botnet auf und war der erste Mac-Schädling, der eine Drive-by-Infektion nutzte, und das sogar vollständig ohne Benutzerinteraktion. Brian Krebs konnte nun den mutmaßlichen Entwickler von Flashback aufdecken, einen 30 Jahre alten Einwohner von Saransk, der Hauptstadt der russischen Region Mordwinien.

Und es gibt etwas Neues zu den Angriffen über Java: Shinsuke Honjo von McAfee berichtet über eine JAR-Datei, die gleich mehrere Exploits enthält. Also sozusagen eine JAR-Datei, sie alle zu knechten. Könnte mal jemand einen Hobbit den Java-Quellcode geben? Nur die JAR-Datei zu entsorgen ist in diesem Fall wohl zu wenig.

PostgreSQL mit zweifelhafter Schutzmaßnahme

Heute gibt es Kommentare und Hinweise zu installierten Java-Versionen, gefährlichen .apk-Dateien, einem übergewichtigen Rootkit und einer Info-Seite zu SSL/TLS.

Java oft veraltet

Java im Browser ist gefährlich. Darum sollte man es ausschalten, wenn man es nicht braucht. Denn was nicht aus dem Browser heraus erreichbar ist, kann auch nicht über eine Drive-by-Infektion angegriffen werden. Im Fall von Mac OS X 10.7 und 10.8 reichte das Ausschalten von Browser im Java aber nicht aus, um Angriffe zu verhindern, wie jetzt im Rahmen eines Updates heraus kam.

Apple meint(e): "Java ist vertrauenswürdig"

Beim diesjährigen Pwn2Own-Wettbewerb auf der Sicherheitskonferenz CanSecWest wurde mit Ausnahme von Apples Safari alles gehackt, was zur Verfügung stand. Und ob Safari nun allen Angriffen widerstanden hat oder ob niemand Lust hatte, sich damit zu befassen, werden wir nie erfahren, denn es gab nicht einen einzigen Angriffsversuch.

Die Ziele

Es geht weiter mit der Entwicklung rund um die aktuellen 0-Day-Schwachstellen. Oracle hat die am 28. Februar entdeckte 0-Day-Schwachstelle in Java behoben - und außerdem einen Sicherheitsforscher provoziert, der auf Oracles trotziges "Das da ist aber keine Schwachstelle!!!" noch mal genauer hin gesehen und dabei gleich fünf weitere Schwachstellen entdeckt hat. Zusammen erlauben sie den Ausbruch aus der Sandbox. Vielleicht sollte man besser mal die Java-Entwickler in einen Standkasten stecken?

1. März: Apple blockiert alte Flash Player in Safari

Es gibt mal wieder eine neue 0-Day-Schwachstelle. Diesmal mal wieder in Java. Ich kann hier also gleich da weiter machen, wo ich vorigen Donnerstag aufgehört habe:

28. Februar: FireEye meldet die nächste Java-0-Day-Schwachstelle

Aus Zeitgründen fällt der "Standpunkt" in dieser Woche aus. Das geplante Thema: Meine Version des Puzzles aus all den 0-Day-Exploits, den Angriffen auf Unternehmen einschließlich Apple und Microsoft und was da sonst noch so los war. Evtl. werde ich den Text am Donnerstag veröffentlichen.

Darum gibt es heute auch nur einen Linktip zum Thema: Sean Sullivan hat am 20. Dezember im Blog von F-Secure eine "Timeline: Hacks Related to Apple" veröffentlicht. Die deckt aber nur einen Teil der Entwicklung ab, insbesondere ist der am Freitag bekannt gewordene Angriff auf Microsoft noch nicht enthalten.

Carsten Eilers

Es gibt schon wieder neue 0-Day-Schwachstellen, diesmal zwei Stück im Adobe Reader. So langsam überlege ich, ob es sich lohnt, dafür eine neue Kategorie einzurichten. Oder sollte ich den "Standpunkt" einfach umbenennen? Auch eine Übersichtsseite dürfte sich bald lohnen.

Der aktuelle Stand

Wir haben gerade mal den 11. Februar und schon die x-te 0-Day-Schwachstelle. Wobei man sich über den Wert von x streiten kann. Aber selbst im günstigsten Fall ist der drei: Erst die 0-Day-Schwachstelle in Java und nun zwei im Flash Player.

Zwei 0-Day-Schwachstellen im Flash Player

Oracle hat mehr oder weniger "heimlich, still und leise" ein neues Update für Java 7 veröffentlicht, genauer: Die für den 19. Februar geplante Veröffentlichung des nächsten regulären Updates vorgezogen - da es auf eine der Schwachstellen bereits Angriffe gibt. Und das Update hat es in sich: Von 50 behobenen Schwachstellen können 49 ohne Authentifizierung aus der Ferne ausgenutzt werden, 26 haben die höchste Gefahrenstufe 10.0 - WENN Sie Java noch auf dem Rechner haben, sollten Sie es schnell updaten. Oder vielleicht besser löschen?

Java 7 Update 13 veröffentlicht